Seguridad de NFS: qué es, cómo los atacantes la explotan y cómo defenderse

NFS usa el puerto 2049 (TCP y UDP) para las operaciones del sistema de archivos, y el puerto 111 (TCP y UDP) para el servicio de portmapper RPC del que depende NFS. Ambos puertos deben restringirse en el firewall para permitir conexiones únicamente desde hosts confiables.

NFS no está cifrado de forma predeterminada en NFSv2 y NFSv3. Todos los datos se transmiten en texto plano, lo que los hace susceptibles a la interceptación de red. NFSv4 admite cifrado cuando se configura con Kerberos en modo krb5p, que ofrece autenticación, verificación de integridad y cifrado completo de los datos en tránsito.

El root squashing es una función de seguridad de NFS que asigna al usuario root de una máquina cliente (UID 0) un usuario anónimo sin privilegios en el servidor NFS. Esto evita que un usuario remoto con acceso root tenga automáticamente control de nivel root sobre los archivos del servidor. El root squashing se habilita con la opción root_squash en /etc/exports y debe estar habilitado en todas las exportaciones NFS. Deshabilitarlo con no_root_squash crea una vulnerabilidad de escalada de privilegios significativa.

NFSv3 depende de la confianza basada en dirección IP y nombre de equipo para el control de acceso, no tiene cifrado nativo y es vulnerable a la suplantación de UID. NFSv4 introduce soporte para autenticación basada en Kerberos, agrega capacidades de cifrado (krb5p), tiene mejor soporte para listas de control de acceso (ACL) y opera a través de un solo puerto (2049), lo que simplifica las reglas de firewall. NFSv4 es considerablemente más seguro que NFSv3 cuando se configura correctamente con Kerberos.

Sí. NFS es un vector de movimiento lateral documentado. Los atacantes que obtienen acceso a un recurso compartido NFS pueden usarlo para mover archivos y herramientas entre sistemas, acceder a credenciales que permiten un mayor compromiso y, en algunos casos, pivotar directamente hacia otros hosts. MITRE ATT&CK documenta técnicas relacionadas con NFS bajo T1135 (Network Share Discovery), T1039 (Data from Network Shared Drive) y T1570 (Lateral Tool Transfer).

showmount -e [hostname] es un comando legítimo de Linux que muestra los recursos NFS compartidos disponibles en un servidor. Es peligroso desde el punto de vista de la seguridad porque no requiere autenticación: cualquier equipo que pueda acceder al puerto 111 de un servidor NFS puede ejecutar showmount y enumerar todos los recursos compartidos disponibles. Los atacantes suelen usar este comando durante el reconocimiento para identificar recursos NFS accesibles. Puedes restringir el acceso a showmount bloqueando el puerto 111 o deshabilitando el servicio rpcbind donde no sea necesario.

Los atacantes encuentran recursos NFS expuestos mediante el escaneo de redes internas con herramientas como nmap (apuntando a los puertos 111 y 2049), ejecutando showmount -e contra los hosts descubiertos y usando herramientas de escaneo de internet como Shodan para encontrar servidores NFS expuestos a internet. Muchas organizaciones exponen NFS a internet sin darse cuenta debido a reglas de firewall mal configuradas o grupos de seguridad en la cloud.

La explotación de NFS ha aparecido en numerosos ataques reales y pruebas de penetración. Entre los escenarios comunes están atacantes que obtienen acceso inicial a una red corporativa y encuentran recursos NFS con claves privadas SSH usadas para comprometer otros servidores, y ejercicios de red team donde recursos NFS expuestos con archivos de configuración que contenían credenciales de bases de datos llevaron al compromiso total del entorno. La explotación de NFS también es una técnica habitual en los desafíos CTF (Capture the Flag), lo que refleja su prevalencia como vector de ataque real.